Sprint 2Lernangebot 5Stufe I bis III⏱ 8 h
Hier erstellst du die Gefährdungsanalyse für Frachtsystem, Kühlüberwachung und Zufahrt, stufst die Gefährdungen nach Häufigkeit und Auswirkung ein und rechnest aus, mit welchem Schaden HLG im Jahr rechnen muss.
Sprint 2Brückenstufe 2
Eure Story: Ihr stellt den Schutzbedarf des Hubs fest, bewertet die Risiken und legt der Geschäftsleitung einen Maßnahmenplan mit Kosten und Restrisiko vor.
Input · Gefährdungen und Risikobewertung. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 5 und 6.
Du wählst elementare Gefährdungen aus, rechnest Ausfallkosten und erwarteten Schaden, ordnest alles in die Risikomatrix ein und rechnest die Verfügbarkeit des Frachtsystems.
0 von 7 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Eine Gefährdung, die alle fünf Jahre kommt und den Betrieb drei Tage stoppt, wiegt schwerer als zehn Störungen, die man vergisst. Die Matrix zeigt es, die Euro-Rechnung beweist es.
Am Ende hast du: eine Gefährdungsübersicht mit Nummern nach BSI-Standard 200-3, eine Risikomatrix für die drei Zielobjekte, den erwarteten jährlichen Schaden je Gefährdung und die Verfügbarkeit des Frachtsystems heute.
Erst du, dann die anderen
Wie oft ein Erpressungsangriff HLG trifft, weiß niemand. Wie würdest du trotzdem zu einer Zahl kommen, die du der Geschäftsleitung vorlegen kannst?
So gehen andere vor. Such dir einen Weg aus.
- Statistik: Lageberichte und Umfragen zur Häufigkeit in der Branche heranziehen. Vorteil: belegbar. Preis: Durchschnitt, nicht HLG.
- Erfahrung: IT-Leitung und Dienstleister fragen, was in den letzten Jahren passiert ist. Vorteil: konkret. Preis: wenig Ereignisse, viel Zufall.
- Spanne: eine untere und eine obere Schätzung angeben und beide rechnen. Vorteil: ehrlich. Preis: die Geschäftsleitung bekommt zwei Zahlen statt einer.
Für die Aufgaben gibt euch die Geschäftsleitung Schätzungen vor, aufklappbar unten. Ihr dürft sie anzweifeln, wenn ihr einen Grund habt.
Gegebene Werte für Lernangebot 5 · aufklappen, wenn du sie brauchst
Gegebene Werte für Lernangebot 5
- Ausfallkosten
- 38.000 € je Stunde, in der die Frachtannahme steht
- Gefährdungen
-
Nr. Ereignis Zielobjekt Häufigkeit je Jahr Folge je Ereignis G1 Erpressungsangriff verschlüsselt Frachtsystem und Sicherung Frachtsystem 0,2 Annahme steht 72 h G2 Ausfall von Host A, VM werden von Hand umgezogen Frachtsystem 0,5 Annahme steht 4 h G3 Ausfall der Kühlüberwachung, Lücke im Temperaturnachweis Kühlüberwachung 2 25.000 € G4 Missbrauch eines fremden Zufahrtsausweises, Annahme bis zur Nachkontrolle gesperrt Zufahrt 0,25 Annahme steht 4 h - Herkunft der Zahlen
- G1: Wiederanlauf wie in der Nachbarhalle, weil die Sicherung im selben Netz liegt. G2: Ein Host fällt aus, seine VM werden von Hand auf den anderen gebracht. G3: Kühlüberwachung fällt aus, Pharmafracht wird gesperrt und geprüft. G4: Ein Ausweis wird missbraucht, bis zur Nachkontrolle durch die Luftsicherheit nimmt das Tor nichts an.
- Betriebszeit
- 365 Tage zu 24 h
Häufigkeiten sind Schätzungen der Geschäftsleitung mit der IT-Leitung, keine Statistik. Folgen und Ausfallzeiten sind Unterrichtswerte.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Gefährdungsanalyse und Risikobewertung
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- Gefährdungsübersicht je Zielobjekt mit Nummern der elementaren Gefährdungen
- Einstufung nach Häufigkeit und Auswirkung
- Risikomatrix mit allen Gefährdungen
- Ausfallkosten und erwarteter jährlicher Schaden je Gefährdung und gesamt
- Verfügbarkeit des Frachtsystems heute
Zur Dokumentation
Jede Einstufung nennt ihre Quelle: gegebener Wert, eigene Schätzung oder Rechnung.
Lernangebot 6 plant Maßnahmen für jedes Risiko, das die Geschäftsleitung nicht tragen will.
Deine Aufgaben
5.1Erstellt die Gefährdungsübersicht
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 5Öffnen ▾Schließen ▴
Aufgabe 5.1
Stufe I · Abfolge
Erstellt die Gefährdungsübersicht:
- Wählt für Frachtsystem, Kühlüberwachung und Zufahrt je mindestens vier zutreffende elementare Gefährdungen aus G 0.1 bis G 0.47.
- Schreibt zu jeder Gefährdung einen Satz, wie sie im Hub eintreten könnte.
- Ergänzt mindestens eine zusätzliche Gefährdung, die in der Liste des BSI nicht vorkommt.
- Ordnet die vier vorgegebenen Ereignisse G1 bis G4 euren Gefährdungen zu.
Im Team Diese Aufgabe bearbeitet ihr im Team.
5.2Rechnet die Ausfallkosten der Frachtannahme
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 5.2
Stufe I · Abfolge
Rechnet die Ausfallkosten der Frachtannahme:
- Rechnet die Kosten für eine Stunde, eine Schicht und drei Tage Stillstand.
- Setzt den Wert für drei Tage ins Verhältnis zum Umsatz eines Tages von HLG.
- Ordnet den Wert in eure Schutzbedarfskategorien ein.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
5.3Rechnet den erwarteten jährlichen Schaden
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 5.3
Stufe II · Algorithmus
Rechnet den erwarteten jährlichen Schaden:
- Rechnet für G1 bis G4 den Schaden je Ereignis.
- Rechnet für jede Gefährdung E = f · S.
- Bildet die Summe und gebt an, welche Gefährdung den größten Anteil hat.
- Vergleicht: Welche Gefährdung hat den größten Schaden je Ereignis, welche den größten Erwartungswert?
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
5.4Füllt die Risikomatrix
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 5Öffnen ▾Schließen ▴
Aufgabe 5.4
Stufe II · Algorithmus
Füllt die Risikomatrix:
- Ordnet G1 bis G4 nach den Klassengrenzen der Geschäftsleitung in Häufigkeit und Auswirkung ein.
- Tragt sie in die Matrix ein und lest die Risikokategorie ab.
- Ordnet eure übrigen Gefährdungen aus 5.1 mit eigener Schätzung ein und kennzeichnet sie als Schätzung.
- Rechnet die Verfügbarkeit des Frachtsystems heute aus der Ausfallzeit durch G1 und G2 im Jahr.
Im Team Diese Aufgabe bearbeitet ihr im Team.
5.5Prüft die Grenzen eurer Bewertung
Jetzt seid ihr dran · Im Team · 3 Arbeitsschritte
zahlt ein auf AB 5 und 6Öffnen ▾Schließen ▴
Aufgabe 5.5
Stufe III · Heuristik
Prüft die Grenzen eurer Bewertung:
- Die IT-Leitung meint, ein Erpressungsangriff komme eher einmal in drei Jahren als einmal in fünf. Rechnet, was das an Kategorie und Erwartungswert von G1 ändert.
- Nennt eine Gefährdung, deren Schaden sich nicht in Euro fassen lässt, und schlagt vor, wie ihr sie trotzdem einstuft.
- Schreibt der Geschäftsleitung in drei Sätzen, wie sicher eure Zahlen sind.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Das Stationsbüro an einem zweiten Flughafen soll künftig über das VPN auf das Frachtsystem im Hub zugreifen und dort Sendungen der Außenstation buchen. Welche Gefährdungen kommen hinzu, welche ändern ihre Einstufung, und was bedeutet das für den Schutzbedarf der VPN-Verbindung?